allow属性是iframe原生HTML属性，用于显式控制子页面可调用的浏览器API（如camera、microphone、geolocation、clipboard-read等），不依赖CSP或sandbox，但需与之协同；值格式为"feature 'self'; feature https://example.com"，来源限制对部分特性生效，省略则默认禁用多数敏感API。
allow 属性控制 iframe 能调用哪些浏览器 API
allow 是 iframe 的原生 HTML 属性，用于显式声明子页面可使用的浏览器功能。它不是内容安全策略（CSP），也不影响脚本执行权限，而是直接限制特定 API 的可用性——比如用户不授权，allow="geolocation" 就会让子页面调用 navigator.geolocation.getCurrentPosition() 失败并抛出 NotAllowedError。
常见被管控的特性包括：camera、microphone、clipboard-read、clipboard-write、fullscreen、payment、accelerometer 等。这些都属于“特征策略（Feature Policy）”的遗留语法，现已被 Permissions-Policy HTTP 响应头取代，但 allow 在 iframe 上仍完全有效且广泛支持。
allow 值的写法和来源限制必须匹配实际使用场景
值格式为 "feature1 'self'; feature2 https://example.com"，多个策略用分号分隔，每个策略后可跟来源列表。来源只对部分特性生效（如 clipboard-read、payment），而像 fullscreen 这类不涉及跨源数据的特性，来源列表会被忽略。
-
'self'表示仅允许同源（协议+域名+端口完全一致）的子页面启用该功能 -
*允许所有来源 —— 但注意：很多敏感特性（如microphone）在主流浏览器中已默认禁用*，即使写了也无效 -
https://a.example.com可精确指定一个或多个域名，多个用空格分隔 -
'none'显式禁用某特性，例如allow="fullscreen 'none'"
错误写法如 allow="clipboard-write *" 在 Chrome 95+ 中会被静默降级为 clipboard-write 'self'；若子页面来自 https://evil.com，则剪贴板写入直接失败。
立即学习“前端免费学习笔记（深入）”；
不加 allow 或 allow="" 会导致很多现代 API 默认不可用
省略 allow 属性，等价于 allow=""（空字符串），此时绝大多数需要用户手势或权限的特性都会被禁用。这不是 bug，而是浏览器默认安全策略：子框架不能擅自访问设备或敏感接口。
将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。
典型表现包括：
- 点击按钮调用
document.execCommand('copy')或navigator.clipboard.writeText()报错Permission denied -
requestFullscreen()静默失败，不触发任何回调或事件 -
MediaDevices.getUserMedia()拒绝调用，控制台提示Permission denied by feature policy
尤其在嵌入第三方视频播放器、表单 SDK 或客服 widget 时，如果它们依赖摄像头/麦克风/全屏/粘贴，父页面没配 allow，功能就直接挂掉——且无明确报错提示，排查成本高。
与 sandbox、CSP、crossorigin 的配合要点
allow 和 sandbox 是正交机制：sandbox 控制脚本、表单、插件等基础能力是否运行；allow 在 sandbox 解禁之后，再决定哪些高危 API 可调用。两者叠加时，必须同时满足才可使用。
例如：<iframe sandbox="allow-scripts" allow="camera 'self'" src="https://a.example.com/camera.html">
- 子页面若来自
https://b.example.com，camera权限不生效（来源不匹配） - 若去掉
sandbox，allow依然生效，但子页面还能执行脚本、提交表单等 -
crossorigin属性不影响allow，但它决定子页面能否读取父页面的window.parent属性（跨域时基本为受限对象） - CSP 的
frame-ancestors控制谁可以嵌入你，而allow控制你能嵌入谁时给它什么权限——方向相反，别混淆
真正容易被忽略的是：当子页面本身设置了 Permissions-Policy 响应头（如 Permissions-Policy: geolocation=()），它会覆盖父页面 allow 中对应项的声明，优先级更高。调试时得两边都查。
